【文章內容簡介】 ? 能夠在統(tǒng)一安全策略下，抵御來自外部有組織的團體、擁有較為豐富資源的攻擊，防范較為嚴重的自然災難、內部人員惡意行為、操作失誤、技術故障等對 主要資源造成的損害，能夠及時監(jiān)測發(fā)現(xiàn)安全漏洞和安全事件；具有一定的備份恢復能力，在系統(tǒng)遭到損害后，能夠 較快恢復絕大部分功能 。 第四級信息系統(tǒng) ? 能夠在統(tǒng)一安全策略下，抵御來自敵對組織的、擁有豐富資源的攻擊，防范嚴重的自然災難、內部人員惡意行為、操作失誤、技術故障等對 資源 造成的損害，能夠及時監(jiān)測發(fā)現(xiàn)安全漏洞、跟蹤處置安全事件；具有較強的備份恢復能力，在系統(tǒng)遭到損害后，能夠迅速恢復所有功能 。 等級保護的基本要求 基本要求是什么？ 安全保護能力的一個基本 “ 標尺 ” ，是一個達標線； 滿足基本要求意味著信息系統(tǒng)具有相應等級的基本安全保護能力，達到了一種基本的安全狀態(tài)。 基本要求是安全保護的出發(fā)點，不是終點。 GB/T222392022 ?《 信息系統(tǒng)安全等級保護基本要求 》 基本要求的定位 ? 《 基本要求 》 中相應等級的要求是根據(jù)各等級系統(tǒng)需要對抗的威脅和應具備的能力而確定的。判斷基本要求是否達到應按此原則分析。 ? 《 基本要求 》 給出了各級信息系統(tǒng)每一保護方面需達到的要求，但不是具體的安全建設整改方案或作業(yè)指導書，實現(xiàn)基本要求的措施或方式并不局限于 《 基本要求 》 給出的內容，要結合系統(tǒng)自身的特點綜合考慮采取的措施來達到基本要求提出的保護能力 《 基本要求 》 定位舉例 ?A點 —— B點， 500KM 5H ? 飛機 OK ? 火車 OK ? 汽車 OK ? 自行車 NO 等級保護的基本要求 ? 內容與作用 ? 為信息系統(tǒng)主管和運營、使用單位提供 技術指導 ? 為測評機構提供 測評依據(jù) ? 為監(jiān)管職能部門提供 監(jiān)督檢查依據(jù) ? 適用環(huán)節(jié) ? 建設整改、驗收、測評、運維、檢查 基本要求的描述模型 ? 控制點標注 ? 業(yè)務信息安全相關要求（標記為 S） ? 系統(tǒng)服務保證相關要求（標記為 A） ? 通用安全保護要求（標記為 G） ? 技術要求（ 3種標注） ? 管理要求（統(tǒng)屬 G） 系統(tǒng)基本保護要求的組合 ? 第一級 S1A1G1 ? 第二級 S1A2G2， S2A2G2， S2A1G2 ? 第三級 S1A3G3， S2A3G3， S3A3G3， S3A2G3，S3A1G3 ? 第四級 S1A4G4， S2A4G4， S3A4G4， S4A4G4，S4A3G4， S4A2G4， S4A1G4 如何實現(xiàn) ?落實信息安全等級保護基本要求，確保系統(tǒng) 基本安全 ； ?結合系統(tǒng)自身安全需求，力求系統(tǒng) 相對安全 。 《 基本要求 》 的文檔結構 物理安全 技術要求 管理要求 基本要求 網絡安全 主機安全 應用安全 數(shù)據(jù)安全及備份恢復 安全管理制度 安全管理機構 人員安全管理 系統(tǒng)建設管理 系統(tǒng)運維管理 類 安全建設基本流程 信息系統(tǒng)安全管理建設 信息系統(tǒng)安全技術建設 開展信息系統(tǒng)安全自查和等級測評 信息系統(tǒng)安全需求分析 /相應級別的要求 確定安全策略，制定安全建設方案 物 理 安 全 網 絡 安 全 主 機 安 全 應 用 安 全 數(shù) 據(jù) 安 全 安全管理機構 安全管理制度 人員安全管理 系統(tǒng)建設管理 系統(tǒng)運行管理 信息系統(tǒng)安全技術體系設計 物理安全設計 數(shù)據(jù)安全設計 備份與恢復 應用系統(tǒng) 應用平臺 其他安全設計 機房 辦公環(huán)境 設備和介質 網絡安全設計 通信網絡 區(qū)網邊界 主機安全設計 應用安全設計 服務器 工作站 其他安全設計 其他安全設計 其他安全設計 《 基本要求》中的安全保護技術 ? 身份鑒別 ? 訪問控制 ? 安全審計 ? 數(shù)據(jù)完整性 ? 數(shù)據(jù)保密性 ? 數(shù)據(jù)可用性 ? 病毒防范 ? 入侵檢測 ? 安全監(jiān)控 ? 備份與恢復 ? 密碼使用 ? 等等 《 基本要求》中的安全保護技術 ? 確定安全策略 ? 落實信息安全責任制 ? 建立安全組織機構 ? 加強人員管理 ? 加強系統(tǒng)建設的安全管理 ? 加強運行維護的安全管理 安全技術要求 物理安全 ? 物理安全是指對信息系統(tǒng)所涉及到的 主機房、輔助機房、辦公環(huán)境 等進行物理安全保護。具體關注內容包括：物理位置的選擇、物理訪問控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫濕度控制、電力供應和電磁防護等方面 安全技術要求 物理安全 序號 安全關注點 一級 二級 三級 四級 1 物理位置的選擇 0 1 2 2 2 物理訪問控制 1 2 4 4 3 防盜竊和防破壞 2 5 6 6 4 防雷擊 1 2 3 3 5 防火 1 1 3 3 6 防水和防潮 2 3 4 4 7 防靜電 0 1 2 3 8 溫濕度控制 1 1 1 1 9 電力供應 1 2 4 4 10 電磁防護 0 1 3 3 合計 9 19 32 33 安全技術要求 網絡安全 ? 網絡安全是指對信息系統(tǒng)所涉及的 通信網絡、網絡邊界、網絡區(qū)域和網絡設備 等進行安全保護。具體關注內容包括通信過程數(shù)據(jù)完整性、通信過程數(shù)據(jù)保密性、保證通信可靠性的設備和線路冗余、區(qū)域網絡的邊界保護、區(qū)域劃分、身份認證、訪問控制、安全審計、入侵防范、惡意代碼防范、網絡設備自身保護和網絡的網絡管理等方面 安全技術要求 網絡安全 序號 安全關注點 一級 二級 三級 四級 1 網絡結構安全 3 4 7 7 2 網絡訪問控制 3 4 8 4 3 網絡安全審計 0 2 4 6 4 邊界完整性檢查 0 1 2 2 5 網絡入侵防范 0 1 2 2 6 惡意代碼防范 0 0 2 2 7 網絡設備防護 3 6 8 9 合計 9 18 33 32 安全技術要求 主機安全 ? 主機安全是指對信息系統(tǒng)涉及到的 服務器和工作站 進行主機系統(tǒng)安全保護。具體關注內容包括操作系統(tǒng)